Wprowadzenie
Niniejsze wytyczne są wewnętrznym regulaminem firmy VETTRONIC s.r.o., Nr ID: 17531713, z siedzibą pod adresem Vodní 2415/3, Předměstí, 746 01 Opawa, Republika Czeska, wpisana do Rejestru Handlowego prowadzonego przez Sąd Okręgowy w Ostrawie, sekcja C, numer 90412 (zwanej dalej „Administratorem”), przyjętym w celu zapewnienia ochrony danych osobowych przetwarzanych przez Administratora. Niniejsze wytyczne zostały przyjęte w związku z wejściem w życie Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych, z późniejszymi zmianami (zwanego dalej „Rozporządzeniem”).
Niniejsze wytyczne zawierają wiążące instrukcje, informacje, zasady, procedury i porady dla pracowników Administratora oraz wszelkich współpracowników Administratora, którzy zobowiązują się do przestrzegania postanowień Rozporządzenia. Wytyczne są również wiążące dla dyrektorów wykonawczych spółki. Do celów niniejszych wytycznych wszelkie podmioty prawne zobowiązane do przestrzegania niniejszych wytycznych zwane są dalej „Osobami obowiązanymi”.
Niniejsze wytyczne mają na celu zapewnienie odpowiedniego standardu ochrony danych osobowych. Przestrzeganie niniejszych wytycznych pomoże zmniejszyć ryzyko niewypełnienia obowiązków nałożonych na Administratora przez Rozporządzenie, a także inne ważne i obowiązujące przepisy prawa.
Do celów niniejszego dokumentu „dane osobowe” oznaczają wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej, której dane osobowe dotyczą. Osoba zidentyfikowana lub możliwa do zidentyfikowania to osoba fizyczna, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer, kod lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, umysłową, ekonomiczną, kulturową lub społeczną tożsamość tej osoby fizycznej. Dla celów niniejszych wytycznych „osoby, których dane dotyczą” oznaczają w szczególności klientów, potencjalnych klientów, dostawców i potencjalnych dostawców Administratora oraz osoby ubiegające się o zatrudnienie u Administratora.
„Przetwarzanie danych osobowych” oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych, takich jak gromadzenie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie, w sposób zautomatyzowany lub niezautomatyzowany.
„Nośnik danych osobowych” to dowolny materiał lub urządzenie, na którym dane osobowe są rejestrowane lub zapisywane. Może to obejmować dokumentację papierową, w tym foldery i pliki, płyty CD, DVD, dyski zewnętrzne, oprogramowanie, dyski komputerowe, serwery itp.
Administrator przetwarza dane osobowe w związku z prowadzoną działalnością gospodarczą. Administrator przetwarza dane osobowe wyłącznie w niezbędnym zakresie. Osoby obowiązane nie są uprawnione do gromadzenia jakichkolwiek innych danych o osobach fizycznych niezwiązanych z działalnością Administratora. Ponadto Osoby obowiązane nie są uprawnione do przetwarzania zgromadzonych danych osobowych z naruszeniem niniejszych wytycznych, zawartych umów lub obowiązujących przepisów prawa.
Podstawowe obowiązki Osób obowiązanych
Osoby obowiązane nie są uprawnione do wykorzystywania danych osobowych do celów innych niż te, dla których dane te zostały zgromadzone.
Wszystkie dane osobowe są poufne, tj. podlegają obowiązkowi zachowania poufności, a Osoby obowiązane nie są uprawnione do ujawniania lub przekazywania takich informacji osobom trzecim, z wyjątkiem celów, dla których dane osobowe zostały zgromadzone. Osoby obowiązane nie mogą ujawniać danych osobowych i związanych z nimi informacji, a także informacji o danych osobowych zabezpieczonych przez Administratora współpracownikom, członkom rodziny, bliskim znajomym itp.
Zabronione jest agregowanie danych osobowych w jakikolwiek sposób lub tworzenie baz danych osobowych, chyba że jest to niezbędne do celów, dla których dane osobowe zostały zgromadzone i chyba że Administrator udzielił wyraźnej zgody na te działania.
Osoby obowiązane nie są uprawnione do sprzedaży, dzierżawy lub innego udostępniania danych osobom trzecim, zarówno za wynagrodzeniem, jak i nieodpłatnie, ani do wykorzystywania danych dla własnych korzyści ekonomicznych lub korzyści ekonomicznych osób trzecich.
Osoby obowiązane nie mogą uzyskiwać dostępu do danych osobowych innych niż te, które są ściśle niezbędne do wykonywania ich zadań na rzecz Administratora. W szczególności zabronione jest podejmowanie prób uzyskania dostępu do zabezpieczonych plików powierzonych innej Osobie obowiązanej oraz uzyskiwanie dostępu do oprogramowania i sprzętu powierzonego innej Osobie obowiązanej bez wyraźnego polecenia Administratora.
Osoby obowiązane zobowiązują się do powiadamiania Administratora o wszelkich naruszeniach bezpieczeństwa niezwłocznie po uzyskaniu o nich informacji i podania szczegółów tego naruszenia bezpieczeństwa.
Osoby obowiązane muszą przestrzegać zasad „czystego biurka”, tj. przed opuszczeniem miejsca pracy są zobowiązane do sprawdzenia, czy wszystkie nośniki zawierające dane osobowe są odpowiednio zabezpieczone zgodnie z niniejszymi wytycznymi. Osobom obowiązanym nie wolno opuszczać miejsca pracy bez przeprowadzenia tej kontroli, chyba że pozostanie w miejscu pracy stwarza większe ryzyko szkody niż mogłoby to wynikać z uszkodzenia, utraty lub kradzieży nośnika danych osobowych.
Osoby obowiązane zobowiązują się do wdrożenia niezbędnych środków w celu zapobieżenia uszkodzeniu, utracie lub kradzieży nośnika danych osobowych.
Wszelkie notatki lub dokumenty pisemne zawierające dane osobowe muszą zostać zniszczone, gdy tylko przestaną być potrzebne.
Obowiązki w ramach poszczególnych czynności przetwarzania
W ramach poszczególnych czynności przetwarzania danych Osoby obowiązane muszą przestrzegać następujących wiążących instrukcji:
Komunikacja
Wszelka komunikacja drogą elektroniczną musi zawsze odbywać się wyłącznie za pośrednictwem bezpiecznego adresu e-mail udostępnionego Osobie obowiązanej przez Administratora. Wykorzystywanie osobistych adresów e-mail do komunikacji zawierającej dane osobowe przetwarzane przez Administratora jest niedozwolone.
Wszelka komunikacja musi odbywać się za pośrednictwem urządzeń powierzonych Osobie obowiązanej przez Administratora lub za pośrednictwem urządzeń zatwierdzonych przez Administratora do danego użytku.
Podawanie jakichkolwiek danych osobowych przez telefon lub za pośrednictwem niezabezpieczonej poczty jest zabronione.
Jeśli Osoba obowiązana ma jakiekolwiek wątpliwości co do tożsamości osoby, której Osoba obowiązana powinna ujawnić jakiekolwiek dane osobowe, Osoba obowiązana musi zachować poufność do czasu rozwiania wszelkich takich wątpliwości.
Jeśli podczas przetwarzania jakiejkolwiek dokumentacji Osoba obowiązana odkryje, że dokumentacja zawiera dokument przeznaczony wyłącznie do celów prywatnych osoby, której dane dotyczą, Osoba obowiązana ma obowiązek natychmiast zaprzestać przetwarzania danych osobowych w tym dokumencie, zabezpieczyć dokument przed przypadkowym odczytaniem (np. poprzez włożenie go do koperty) i przekazać go osobie, której dane dotyczą, lub bezpiecznie przechować taki dokument w celu późniejszego przekazania osobie, której dane dotyczą.
Każda przesyłka zaadresowana na nazwisko osoby fizycznej (tj. nie do Administratora) musi zostać przekazana adresatowi bez otwierania tak szybko, jak to możliwe. Pozostałe przesyłki są otwierane i przekazywane poszczególnym pracownikom odpowiedzialnym za daną sprawę. Przesyłki skierowane do Administratora muszą być zawsze oznaczone datą odbioru. Jeśli takie oznaczenie mogłoby spowodować obniżenie wartości dokumentu, data zostanie umieszczona na kopercie, w której dokument został dostarczony.
Rekrutacja
Za rekrutację odpowiedzialni są dyrektorzy wykonawczy. Nikt inny nie ma dostępu do danych kandydatów.
Wnioskując o nowych pracowników, Osoba obowiązana zapozna się z Polityką prywatności przyjętą przez firmę, tak aby osoba, której dane dotyczą, została poinformowana o tym, w jaki sposób Administrator przetwarza i obsługuje dane przed przekazaniem jakichkolwiek danych Administratorowi.
W przypadku kandydatów, z którymi nie zostanie nawiązany stosunek pracy ze względu na ich nieodpowiednie kwalifikacje lub inne niezadowalające okoliczności, informacje o nich muszą zostać natychmiast usunięte, tj. wszelkie elektroniczne kopie takich informacji muszą zostać nieodwracalnie usunięte, a wszelkie dokumenty zawierające takie dane osobowe muszą zostać zniszczone.
W przypadku kandydatów, którzy nie zostali wybrani na dane stanowisko, ale prawdopodobnie otrzymają inną ofertę pracy w najbliższej przyszłości, ich dane osobowe mogą być przetwarzane po obsadzeniu stanowiska, ale tylko przez rozsądny okres – tj. przez trzy miesiące. Po upływie tego okresu osoba, której dane dotyczą, prawdopodobnie nie będzie już zainteresowana ofertą pracy, a Osoba obowiązana przystąpi do usuwania takich danych osobowych.
Zabronione jest podawanie osobom ubiegającym się o pracę nieprawdziwych lub wprowadzających w błąd informacji.
Zabronione jest gromadzenie większej ilości informacji o osobach ubiegających się o pracę, niż jest to potrzebne Osobie obowiązanej do oceny przydatności kandydata.
Dokumentacja pracownicza
Podczas rekrutacji Administrator gromadzi od osoby, której dane dotyczą, wyłącznie takie informacje, które są potrzebne Administratorowi do wykonywania jego ustawowych obowiązków i korzystania z praw pracodawcy w związku ze stosunkiem pracy z pracownikami, rozliczania listy płac, płatności podatków, opłat i obowiązkowych składek na ubezpieczenie społeczne, ubezpieczenie zdrowotne i, w stosownych przypadkach, ubezpieczenie wypadkowe, listy obecności, wykonywania obowiązków związanych z bezpieczeństwem i higieną pracy oraz ewidencji podróży służbowych.
Osoby obowiązane nie są uprawnione do gromadzenia żadnych innych danych osobowych od pracowników w związku z przetwarzaniem.
Zgromadzone dane osobowe są przechowywane w aktach pracowników w bezpiecznej lokalizacji w zamkniętym biurze. Osoby obowiązane są uprawnione do udostępniania tych plików wyłącznie podmiotom przetwarzającym wymienionym w Rejestrze przetwarzania nr 3. Wynoszenie akt pracowniczych poza odpowiednie biuro bez wyraźnego polecenia Administratora jest surowo zabronione. Akta pracowników zawsze zawierają umowę o pracę lub umowę zlecenia lub umowę o dzieło oraz, w stosownych przypadkach, zaświadczenie o zarobkach, kwestionariusz zgłoszeniowy, oświadczenie podatnika podlegającego opodatkowaniu podatkiem dochodowym od osób fizycznych oraz zeznanie podatkowe dotyczące podatku dochodowego od osób fizycznych. Akta pracowników mogą zawierać inne dokumenty bezpośrednio związane ze stosunkiem pracy.
Osoby obowiązane nie są uprawnione do przekazywania innym współpracownikom większej ilości danych osobowych niż jest to konieczne do współpracy.
Osoby obowiązane muszą poinformować osobę, której dane dotyczą o Polityce prywatności przyjętej przez Administratora bezpośrednio przed zawarciem stosunku pracy. Jednocześnie osoba, której dane dotyczą, otrzyma informacje na temat przetwarzania danych osobowych pracowników.
Relacje między klientami i dostawcami
Tylko Osoba obowiązana wyznaczona przez Administratora jest uprawniona do komunikowania się z klientami i dostawcami. Osoby obowiązane uzyskują dostęp do danych osobowych klientów i dostawców tylko wtedy, gdy jest to konieczne oraz w niezbędnym zakresie. Komunikacja zawsze odbywa się zgodnie z zasadami określonymi w sekcji „Komunikacja” powyżej.
Osoby obowiązane muszą wyraźnie poinformować każdego nowego klienta lub dostawcę o obowiązującej Polityce prywatności (wysyłając powiadomienie pocztą elektroniczną).
Dyrektor wykonawczy spółki decyduje o odzyskaniu wymagalnych należności. W takim przypadku niezbędne dane są ujawniane dostawcy usług prawnych.
Osoby obowiązane mają obowiązek zachowania w tajemnicy wszelkich faktów, o których dowiedziały się w związku z relacjami klient–dostawca w ramach działalności Administratora.
Informacje o projektach są przechowywane w folderach zamówień, które są dostępne w biurze Administratora. Foldery zamówień zawierają między innymi dane techniczne dotyczące projektu i jego postępów. Osoby obowiązane nie są uprawnione do umieszczania w folderach zamówień żadnych dokumentów zawierających dane osobowe, chyba że jest to bezwzględnie konieczne. Osoby obowiązane mają dostęp do folderów zamówień w związku z realizacją projektów. Osoby obowiązane uzyskują dostęp do folderów zamówień projektów, które zostały już zrealizowane, wyłącznie w przypadku rozpatrywania reklamacji lub innych roszczeń wynikających ze zrealizowanego projektu.
Skrzynka danych
Dostęp do skrzynki danych ma wyłącznie dyrektor wykonawczy spółki lub, w zależności od przypadku, upoważniony pracownik oddelegowany przez dyrektora wykonawczego do zarządzania skrzynką danych oraz związany umową dostawca usług księgowych. Jednakże osoby upoważnione do dostępu do skrzynki danych nie są uprawnione do dokonywania jakichkolwiek zgłoszeń bez wiedzy i zgody dyrektora wykonawczego spółki.
Dane logowania do skrzynki danych są uważane za poufne, a hasło musi podlegać szczególnej ochronie, ponieważ skrzynka danych może być używana do wykonywania szeregu wiążących i wykonalnych czynności.
Dane osobowe mogą być ujawniane stronom trzecim za pośrednictwem skrzynki danych w przypadkach określonych przez prawo (zgłoszenia do administracji podatkowej, zakładów ubezpieczeń zdrowotnych, Czeskiej Administracji Ubezpieczeń Społecznych (ČSSZ), firmy ubezpieczeniowej Kooperativa itp.) lub w przypadkach, gdy Administrator jest do tego zobowiązany na mocy nakazu sądowego lub innej decyzji organu administracyjnego właściwego do nadzorowania działalności Administratora.
Marketing
Administrator jest uprawniony do prowadzenia działań marketingowych i publikowania opisu firmy oraz jej produktów w witrynie www.vettronic.eu. W tych opisach Administrator może zawrzeć dane kontaktowe Osoby obowiązanej, jeśli ujawnienie takich danych kontaktowych jest zgodne z opisem stanowiska pracy na danym stanowisku.
Osoby obowiązane nie są uprawnione do zmiany informacji opublikowanych w witrynie internetowej bez wiedzy i wyraźnego polecenia dyrektora wykonawczego spółki.
Administrator założył konto użytkownika na portalu Facebook, aby budować obecność firmy. Osoba upoważniona do zarządzania tym kontem nie jest uprawniona do udzielania dostępu do konta osobom trzecim. Osoba ta nie jest uprawniona do ujawniania jakichkolwiek danych osobowych za pośrednictwem tego konta. Osoba odpowiedzialna za zarządzanie kontem może odpowiadać na pytania użytkowników, ale nie może aktywnie kontaktować się z użytkownikami.
Rachunkowość
Wszystkie materiały rachunkowe są gromadzone w zamkniętym biurze i przekazywane do podmiotu przetwarzającego, tj. związanego umową dostawcy usług księgowych. Dane księgowe są również przekazywane za pośrednictwem oprogramowania Pohoda, w którym upoważniony pracownik na bieżąco rejestruje całą sprzedaż.
Cała dokumentacja księgowa jest prowadzona przy użyciu oprogramowania rachunkowego Pohoda.
Osoby obowiązane nie mogą udzielać osobom trzecim dostępu do konta użytkownika Pohoda ani ujawniać hasła do konta użytkownika osobom trzecim.
We wszystkich sprawach związanych z rachunkowością Osoby obowiązane mają prawo komunikować się wyłącznie z księgowym związanym umową, który zawarł z Administratorem umowę o zachowaniu poufności.
Osoby obowiązane nie są uprawnione do przekazywania jakichkolwiek informacji związanych z rachunkowością osobom trzecim bez wyraźnego polecenia Administratora.
Urządzenia
Osoby obowiązane mają obowiązek korzystania wyłącznie z urządzeń, które zostały im dostarczone przez Administratora lub które Administrator zatwierdził do użytku w związku z przetwarzaniem danych osobowych. Osoby obowiązane nie są uprawnione do zmiany konfiguracji zabezpieczeń powierzonych urządzeń.
Osoby obowiązane nie są uprawnione do wynoszenia powierzonych urządzeń poza pomieszczenia wyznaczone przez Administratora do korzystania z takich urządzeń. Nie dotyczy to urządzeń mobilnych, których używanie poza wyznaczonymi pomieszczeniami zostało zatwierdzone przez Administratora.
W przypadku wyniesienia urządzenia poza wyznaczone pomieszczenia za zgodą Administratora Osoba obowiązana zobowiązuje się do przechowywania urządzenia w bezpiecznym miejscu. Podczas transportu urządzenie musi być zawsze nadzorowane przez Osobę obowiązaną. Osoba obowiązana nie jest uprawniona do udostępniania urządzenia osobom trzecim.
Jeśli Osobie obowiązanej zostanie przypisane konto użytkownika, Osoba obowiązana musi zabezpieczyć je odpowiednim i wystarczająco silnym hasłem. Hasło musi zawsze składać się z co najmniej ośmiu znaków oraz zawierać małe i wielkie litery, cyfry i znaki specjalne. Osoby obowiązane nie są uprawnione do ujawniania haseł do swoich kont użytkownika osobom trzecim i ponoszą pełną odpowiedzialność za dostęp do danych osobowych za pośrednictwem swoich kont użytkownika.
Umieszczanie jakichkolwiek informacji o hasłach na urządzeniu lub w łatwo dostępnych i widocznych miejscach jest zabronione.
Instalowanie jakiegokolwiek oprogramowania na urządzeniu Administratora bez wiedzy i wyraźnej zgody Administratora jest zabronione.
Podłączanie urządzeń Administratora lub urządzeń zawierających dane osobowe przetwarzane przez Administratora do nieznanych lub niezabezpieczonych sieci jest zabronione.
Automatyczna blokada ekranu lub wyświetlacza musi być włączona na wszystkich komputerach i telefonach po co najmniej trzech minutach bezczynności, tak aby odblokowanie urządzenia wymagało wprowadzenia hasła bezpieczeństwa.
Bezpieczeństwo biura i urządzeń
Osoby obowiązane, które otrzymały od Administratora klucz lub inny środek dostępu do jakiegokolwiek budynku użytkowanego przez Administratora, muszą zabezpieczyć te środki dostępu i chronić je przed uszkodzeniem, zniszczeniem, a w szczególności utratą lub kradzieżą. W przypadku utraty lub kradzieży takiego środka dostępu Osoba obowiązana musi niezwłocznie powiadomić Administratora, który podejmie odpowiednie środki w celu zapobieżenia wyciekowi, utracie lub kradzieży danych przechowywanych w budynku (tj. w szczególności zapewnienie natychmiastowej wymiany zamka, dezaktywacji chipa dostępu itp.).
Osoby obowiązane nie mogą pozostawiać środków dostępu do budynku w niezabezpieczonym miejscu bez nadzoru lub do dyspozycji osób trzecich.
Osobom obowiązanym, które otrzymały od Administratora urządzenia, na których przechowywane są dane osobowe przetwarzane przez Administratora, nie wolno pozostawiać tych urządzeń w niezabezpieczonym miejscu bez nadzoru lub do dyspozycji osób trzecich. Jeśli urządzenie zostanie uszkodzone, zgubione, zniszczone lub skradzione, Osoba obowiązana musi powiadomić o tym Administratora bez zbędnej zwłoki. W przypadku, gdy Osoba obowiązana podejrzewa, że powierzone urządzenia mogą być przedmiotem ataku hakerskiego, Osoba obowiązana musi niezwłocznie powiadomić o tym Administratora i podjąć wszelkie niezbędne kroki w celu uniemożliwienia przeprowadzenia ataku (tj. niezwłocznie skontaktować się z administratorem IT i postępować zgodnie z wszelkimi instrukcjami wydanymi przez administratora IT).
Przed opuszczeniem chronionych, zamykanych na klucz pomieszczeń Administratora, Osoby obowiązane są zobowiązane do upewnienia się, że wszystkie urządzenia elektryczne są odpowiednio zabezpieczone, okna dobrze zamknięte, a drzwi prawidłowo zamknięte na klucz. Osoby obowiązane nie są uprawnione do opuszczania pomieszczeń podłączonych do systemu bezpieczeństwa bez uprzedniej aktywacji systemu bezpieczeństwa. Postanowienia niniejszego ustępu nie mają zastosowania, jeśli inna Osoba obowiązana nadal znajduje się na terenie obiektu.
Archiwum firmy jest chronione drzwiami zamykanymi na klucz. Dostęp do archiwum mają wyłącznie dyrektorzy wykonawczy i wyznaczone przez nich osoby. Osoby te są zobowiązane do dopilnowania, aby wszystkie okna były zamknięte, a drzwi zawsze prawidłowo zamknięte na klucz. Osoby obowiązane nie mogą opuścić archiwum bez sprawdzenia, czy czynności te zostały wykonane.
Zdarzenia naruszające ochronę
Zdarzenie naruszające ochronę oznacza naruszenie ochrony danych osobowych prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utraty, zmiany, nieuprawnionego ujawnienia lub dostępu do danych osobowych przesyłanych, przechowywanych lub przetwarzanych w inny sposób.
W przypadku wykrycia przez Osobę zobowiązaną jakiegokolwiek zdarzenia naruszającego ochronę lub zagrożenia takim zdarzeniem, Osoba obowiązana musi bez zbędnej zwłoki powiadomić o tym Administratora.
W przypadku wystąpienia zdarzenia naruszającego ochronę Administrator bez zbędnej zwłoki, najlepiej w ciągu 72 godzin od powzięcia wiadomości o zdarzeniu, powiadomi o nim Urząd Ochrony Danych Osobowych, chyba że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Jeżeli Administrator oceni sprawę jako nieistotną, tj. niezagrażającą prawom i wolnościom osób fizycznych, nie powiadomi o tym organu nadzorczego, ale podejmie działania zapobiegające ponownemu wystąpieniu zdarzenia.
Oceniając ryzyko związane z naruszeniem ochrony, Administrator bierze pod uwagę kategorię danych osobowych, których dotyczy zdarzenie naruszające ochronę, charakter naruszenia ochrony oraz liczbę osób, których dane dotyczą. W szczególności wyższe ryzyko wiąże się ze szczególnymi kategoriami danych (tj. danymi dotyczącymi zdrowia) lub danymi, które mogą wyrządzić szkodę osobie, której dane dotyczą, lub ingerować w prawa osoby, której dane dotyczą. Administrator rozważy również, czy naruszenie było umyślne, czy wynikało z zaniedbania, biorąc pod uwagę, że umyślne działanie znacznie zwiększa ryzyko zdarzenia naruszającego ochronę.
Jeżeli Administrator stwierdzi, że zdarzenie naruszające ochronę może mieć wpływ na prawa i wolności osób fizycznych, przekaże w raporcie następujące informacje:
- dane identyfikacyjne Administratora;
- charakter naruszenia ochrony;
- podjęte działania;
- prawdopodobne konsekwencje;
- dane kontaktowe osoby upoważnionej.
Jeżeli zdarzenie stwarza wysokie ryzyko dla praw i wolności osoby, której dane dotyczą, Administrator musi poinformować o zdarzeniu również osobę, której dane dotyczą. Nie ma to zastosowania, jeśli obowiązek ten wymagałby podjęcia nieproporcjonalnego wysiłku. Jednak w takim przypadku wszystkie osoby, których dane dotyczą, muszą zostać poinformowane w równie skuteczny sposób za pośrednictwem publicznego ogłoszenia.
Odpowiedzialność
Administrator poinformował Osoby obowiązane, że w przypadku naruszenia obowiązku zachowania poufności w odniesieniu do danych osobowych przetwarzanych przez Administratora, mogą one popełnić przestępstwo zgodnie z art. 44 i 44a ustawy nr 101/2000 Sb. o ochronie danych osobowych.
Administrator ostrzegł ponadto Osoby obowiązane, że jeśli przetwarzają dane osobowe bez upoważnienia, mogą popełnić przestępstwo nieuprawnionego przetwarzania danych osobowych zgodnie z art. 180 ustawy nr 40/2009 Sb. kodeksu karnego, z późniejszymi zmianami.
Ponadto Administrator jest uprawniony do dochodzenia od Osób obowiązanych odszkodowania za wszelkie szkody poniesione przez Administratora w związku z ich naruszeniami, do wysokości przewidzianej w Kodeksie pracy lub Kodeksie cywilnym, z późniejszymi zmianami.
Dokumentacja dotycząca podjętych działań
Osoba upoważniona przez Administratora jest zobowiązana do prowadzenia akt zawierających następujące dokumenty:
- arkusze danych wejściowych do przetwarzania analiz RODO;
- analiza luk (GAP);
- informacje o przetwarzaniu – partnerzy;
- informacje o przetwarzaniu – pracownicy (wzór);
- zmiana umowy o pracę (wzór);
- umowy o zachowaniu poufności z podmiotami przetwarzającymi;
- polityka prywatności;
- oświadczenie dotyczące plików cookie;
- stosowane wzory zgód;
- rejestry działań związanych z przetwarzaniem;
- niniejsze wytyczne;
- wszelkie inne dokumenty związane z ochroną danych osobowych.
Zasady archiwizacji i niszczenia
W celu ujednolicenia procedury postępowania z dokumentami lub innymi zapisami pochodzącymi od Administratora lub będącymi w jego posiadaniu w związku z jego działalnością, Administrator przyjął poniższe wiążące zasady. Odpowiedzialność za właściwe zarządzanie archiwum spoczywa na dyrektorze wykonawczym, który zapewnia systematyczne archiwizowanie dokumentacji.
Materiały przechowywane w archiwum muszą być przechowywane w taki sposób, aby zapobiec ich uszkodzeniu, zniszczeniu, utracie lub kradzieży. Archiwa mogą być wypożyczane poza archiwum wyłącznie za wiedzą upoważnionego dyrektora wykonawczego firmy i w uzasadnionych przypadkach.
Dokumenty są deponowane w archiwum Administratora nie później niż 31 marca roku następującego po roku ich przetworzenia. Przed zdeponowaniem w archiwum dokumenty muszą być oznaczone tytułem dokumentu, znacznikiem czasu, symbolem niszczenia i terminem niszczenia. Symbole niszczenia wskazują wartość dokumentacyjną poszczególnych typów dokumentów:
- A – dokument ma stałą wartość dokumentacyjną i będzie być przechowywany przez czas nieokreślony;
- V – dokument zostanie poddany procedurze selekcji w celu podjęcia decyzji, czy powinien być przechowywany permanentnie. Wartość dokumentu zostanie oceniona przez osobę odpowiedzialną za zarządzanie archiwum, tj. upoważnionego dyrektora wykonawczego;
- S – dokument podlega zniszczeniu po upływie terminu niszczenia.
Archiwum służy głównie do przechowywania:
Ostateczne terminy niszczenia
- Akt założycielski
- Statut
- Wytyczne
- Zasady
- Zaproszenia
- Protokoły
- Uchwały
- Listy obecności
- Lista partnerów
- Umowy z klientami
- Umowy z dostawcami
- Rejestry dokonanych transakcji
- Dokumenty potwierdzające dokonane transakcje
- Dokumentacja umowna niemająca wpływu naliczenie podatku VAT
- Kwestionariusze osobowe
- Umowy o pracę
- Umowy zlecenia
- Umowy o dzieło
- Deklaracja płatnika podatku dochodowego od osób fizycznych
- Karty pracowników
- Zeznania podatkowe związane z podatkiem dochodowym od osób fizycznych
- Oświadczenia o zarobkach
- Listy obecności z sesji szkoleniowych
- Listy obecności pracowników
- Sprawozdania finansowe – bilanse, rachunki zysków i strat, informacje
- Zeznanie podatkowe
- Dokumenty księgowe
- Księgi rachunkowe
- Plany kont
- Dokumenty związane z deklaracją VAT i obliczeniem podatku
- Umowy zakupu ruchomości
- Umowy o dzieło
- Umowy zakupu nieruchomości
- Umowy o dzieło
- Różne